
<!DOCTYPE html>
<html lang="en" class="loading">
<head>
    <meta charset="UTF-8" />
    <meta http-equiv="X-UA-Compatible" content="IE=edge,chrome=1" />
    <meta name="viewport" content="width=device-width, minimum-scale=1.0, maximum-scale=1.0, user-scalable=no">
    <title>TCPDUMP - Hexo</title>
    <meta name="apple-mobile-web-app-capable" content="yes" />
    <meta name="apple-mobile-web-app-status-bar-style" content="black-translucent">
    <meta name="google" content="notranslate" />
    <meta name="keywords" content="Fechin,"> 
    <meta name="description" content="tcpdump1. 选项介绍
-A 以ASCII格式打印出所有分组，并将链路层的头最小化。 
-c 在收到指定的数量的分组后，tcpdump就会停止。 
-C 在将一个原始分组写入文件之前，检查文件,"> 
    <meta name="author" content="John Doe"> 
    <link rel="alternative" href="atom.xml" title="Hexo" type="application/atom+xml"> 
    <link rel="icon" href="/yi-mark-gitee-io/img/favicon.png"> 
    
    
    
    <meta name="twitter:card" content="summary"/>
    <meta name="twitter:title" content="TCPDUMP - Hexo"/>
    <meta name="twitter:description" content="tcpdump1. 选项介绍
-A 以ASCII格式打印出所有分组，并将链路层的头最小化。 
-c 在收到指定的数量的分组后，tcpdump就会停止。 
-C 在将一个原始分组写入文件之前，检查文件,"/>
    
    
    
    
    <meta property="og:site_name" content="Hexo"/>
    <meta property="og:type" content="object"/>
    <meta property="og:title" content="TCPDUMP - Hexo"/>
    <meta property="og:description" content="tcpdump1. 选项介绍
-A 以ASCII格式打印出所有分组，并将链路层的头最小化。 
-c 在收到指定的数量的分组后，tcpdump就会停止。 
-C 在将一个原始分组写入文件之前，检查文件,"/>
    
<link rel="stylesheet" href="/yi-mark-gitee-io/css/diaspora.css">

<meta name="generator" content="Hexo 6.0.0"></head>

<body class="loading">
    <span id="config-title" style="display:none">Hexo</span>
    <div id="loader"></div>
    <div id="single">
    <div id="top" style="display: block;">
    <div class="bar" style="width: 0;"></div>
    <a class="iconfont icon-home image-icon" href="javascript:;" data-url="https://yi-mark.gitee.io"></a>
    <div title="播放/暂停" class="iconfont icon-play"></div>
    <h3 class="subtitle">TCPDUMP</h3>
    <div class="social">
        <div>
            <div class="share">
                <a title="获取二维码" class="iconfont icon-scan" href="javascript:;"></a>
            </div>
            <div id="qr"></div>
        </div>
    </div>
    <div class="scrollbar"></div>
</div>

    <div class="section">
        <div class="article">
    <div class='main'>
        <h1 class="title">TCPDUMP</h1>
        <div class="stuff">
            <span>二月 05, 2022</span>
            
  <ul class="post-tags-list" itemprop="keywords"><li class="post-tags-list-item"><a class="post-tags-list-link" href="/yi-mark-gitee-io/tags/%E6%8A%93%E5%8C%85/" rel="tag">抓包</a></li></ul>


        </div>
        <div class="content markdown">
            <h1 id="tcpdump"><a href="#tcpdump" class="headerlink" title="tcpdump"></a>tcpdump</h1><h2 id="1-选项介绍"><a href="#1-选项介绍" class="headerlink" title="1. 选项介绍"></a>1. 选项介绍</h2><ul>
<li>-A 以ASCII格式打印出所有分组，并将链路层的头最小化。 </li>
<li>-c 在收到指定的数量的分组后，tcpdump就会停止。 </li>
<li>-C 在将一个原始分组写入文件之前，检查文件当前的大小是否超过了参数file_size 中指定的大小。如果超过了指定大小，则关闭当前文件，然后在打开一个新的文件。参数 file_size 的单位是兆字节（是1,000,000字节，而不是1,048,576字节）。 </li>
<li>-d 将匹配信息包的代码以人们能够理解的汇编格式给出。 </li>
<li>-dd 将匹配信息包的代码以c语言程序段的格式给出。 </li>
<li>-ddd 将匹配信息包的代码以十进制的形式给出。 </li>
<li><strong>-D 打印出系统中所有可以用tcpdump截包的网络接口。</strong> </li>
<li>-e 在输出行打印出数据链路层的头部信息。 </li>
<li>-E 用spi@ipaddr algo:secret解密那些以addr作为地址，并且包含了安全参数索引值spi的IPsec ESP分组。 </li>
<li>-f 将外部的Internet地址以数字的形式打印出来。 </li>
<li>-F 从指定的文件中读取表达式，忽略命令行中给出的表达式。 </li>
<li>-i 指定监听的网络接口。 </li>
<li>-l 使标准输出变为缓冲行形式，可以把数据导出到文件。 </li>
<li>-L 列出网络接口的已知数据链路。 </li>
<li>-m 从文件module中导入SMI MIB模块定义。该参数可以被使用多次，以导入多个MIB模块。 </li>
<li>-M 如果tcp报文中存在TCP-MD5选项，则需要用secret作为共享的验证码用于验证TCP-MD5选选项摘要（详情可参考RFC 2385）。 </li>
<li>-b 在数据-链路层上选择协议，包括ip、arp、rarp、ipx都是这一层的。</li>
<li><strong>-n 不把网络地址转换成名字。</strong></li>
<li><strong>-nn 不进行端口名称的转换。</strong></li>
<li>-N 不输出主机名中的域名部分。例如，‘nic.ddn.mil‘只输出’nic‘。 </li>
<li>-t 在输出的每一行不打印时间戳。 </li>
<li>-O 不运行分组分组匹配（packet-matching）代码优化程序。 </li>
<li>-P 不将网络接口设置成混杂模式。 </li>
<li>-q 快速输出。只输出较少的协议信息。 </li>
<li>-r 从指定的文件中读取包(这些包一般通过-w选项产生)。 </li>
<li>-S 将tcp的序列号以绝对值形式输出，而不是相对值。 </li>
<li>-s 从每个分组中读取最开始的snaplen个字节，而不是默认的68个字节。 </li>
<li>-T 将监听到的包直接解释为指定的类型的报文，常见的类型有rpc远程过程调用）和snmp（简单网络管理协议；）。 </li>
<li>-t 不在每一行中输出时间戳。 </li>
<li>-tt 在每一行中输出非格式化的时间戳。 </li>
<li>-ttt 输出本行和前面一行之间的时间差。 </li>
<li>-tttt 在每一行中输出由date处理的默认格式的时间戳。 </li>
<li>-u 输出未解码的NFS句柄。 </li>
<li>-v 输出一个稍微详细的信息，例如在ip包中可以包括ttl和服务类型的信息。 </li>
<li>-vv 输出详细的报文信息。 </li>
<li><strong>-w 直接将分组写入文件中，而不是不分析并打印出来。</strong></li>
</ul>
<h2 id="2-tcpdump的表达式介绍"><a href="#2-tcpdump的表达式介绍" class="headerlink" title="2. tcpdump的表达式介绍"></a>2. tcpdump的表达式介绍</h2><blockquote>
<p>表达式是一个正则表达式，tcpdump利用它作为过滤报文的条件，如果一个报文满足表达式的条件，则这个报文将会被捕获。如果没有给出任何条件，则网络上所有的信息包将会被截获。</p>
</blockquote>
<ul>
<li><p><em><strong>第一种是关于类型的关键字，</strong></em>主要包括host，net，port，例如 host 210.27.48.2，指明 210.27.48.2是一台主机，net 202.0.0.0指明202.0.0.0是一个网络地址，port 23 指明端口号是23。如果没有指定类型，缺省的类型是host。</p>
</li>
<li><p><em><strong>第二种是确定传输方向的关键字，</strong></em>主要包括src，dst，dst or src，dst and src，这些关键字指明了传输的方向。举例说明，src 210.27.48.2 ，指明ip包中源地址是 210.27.48.2 ， dst net 202.0.0.0 指明目的网络地址是202.0.0.0。如果没有指明方向关键字，则缺省是src or dst关键字。</p>
</li>
<li><p><em><strong>第三种是协议的关键字，</strong></em>主要包括fddi，ip，arp，rarp，tcp，udp等类型。Fddi指明是在FDDI (分布式光纤数据接口网络)上的特定的网络协议，实际上它是”ether”的别名，fddi和ether 具有类似的源地址和目的地址，所以可以将fddi协议包当作ether的包进行处理和分析。其他的几个关键字就是指明了监听的包的协议内容。如果没有指定任何协议，则tcpdump 将会监听所有协议的信息包。</p>
</li>
</ul>
<figure class="highlight plaintext"><table><tr><td class="gutter"><pre><span class="line">1</span><br></pre></td><td class="code"><pre><span class="line">除了这三种类型的关键字之外，其他重要的关键字如下：gateway， broadcast，less， greater，还有三种逻辑运算，取非运算是 ‘not &#x27; &#x27;! ‘，与运算是’and’，’&amp;&amp;&#x27;;或运算是’or’ ，’&amp;#124;&amp;#124;’；这些关键字可以组合起来构成强大的组合条件来满足人们的需要。</span><br></pre></td></tr></table></figure>



<h2 id="3-输出结果介绍"><a href="#3-输出结果介绍" class="headerlink" title="3. 输出结果介绍"></a>3. 输出结果介绍</h2><h3 id="3-1数据链路层头信息"><a href="#3-1数据链路层头信息" class="headerlink" title="3.1数据链路层头信息"></a>3.1<strong>数据链路层头信息</strong></h3><blockquote>
<p>使用命令：<br>tcpdump -e host ICE</p>
</blockquote>
<ul>
<li>输出格式：</li>
</ul>
<p><strong>21:50:12.847509 eth0 &lt; 8:0:20:79:5b:46 0:90:27:58:af:1a ip 60: h219.33357&gt; ICE. telnet 0:0(0) ack 22535 win 8760 (DF)</strong></p>
<ul>
<li><p>21：50：12是显示的时间，</p>
</li>
<li><p>847509是ID号，</p>
</li>
<li><p>eth0 &lt;表示从网络接口eth0接收该分组， eth0 &gt;表示从网络接口设备发送分组，</p>
</li>
<li><p>8:0:20:79:5b:46是主机H219的MAC地址，它表明是从源地址H219发来的分组.</p>
</li>
<li><p>0:90:27:58:af:1a是主机ICE的MAC地址，表示该分组的目的地址是ICE。</p>
</li>
<li><p>ip 是表明该分组是IP分组，</p>
</li>
<li><p>60 是分组的长度，</p>
</li>
<li><p>h219.33357 &gt; ICE. telnet 表明该分组是从主机H219的33357端口发往主机ICE的 TELNET(23)端口。 </p>
</li>
<li><p>ack 22535 表明对序列号是222535的包进行响应。 win 8760表明发送窗口的大小是8760。</p>
</li>
</ul>
<h3 id="3-2-ARP包的tcpdump输出信息"><a href="#3-2-ARP包的tcpdump输出信息" class="headerlink" title="3.2 ARP包的tcpdump输出信息"></a>3.2 ARP包的tcpdump输出信息</h3><blockquote>
<p>使用命令</p>
<p>tcpdump arp XXXXX</p>
</blockquote>
<ul>
<li>输出格式</li>
</ul>
<p><strong>22:32:42.802509 eth0 &gt; arp who-has route tell ICE (0:90:27:58:af:1a)</strong></p>
<ul>
<li>22:32:42是时间戳</li>
<li>802509是ID号</li>
<li>eth0 &gt;表明从主机发出该分组</li>
<li>arp表明是ARP请求包</li>
<li>who-has route tell ICE表明是主机ICE请求主机route的MAC地址。</li>
<li>0:90:27:58:af:1a是主机 ICE的MAC地址。</li>
</ul>
<h3 id="3-3-TCP包的输出信息"><a href="#3-3-TCP包的输出信息" class="headerlink" title="3.3 TCP包的输出信息"></a>3.3 TCP包的输出信息</h3><ul>
<li>输出信息</li>
</ul>
<p><strong>src &gt; dst: flags data-seqno ack window urgent options</strong></p>
<ul>
<li>src &gt; dst:表明从源地址到目的地址</li>
<li>flags是TCP报文中的标志信息</li>
<li>data-seqno是报文中的数据的顺序号</li>
<li>ack是下次期望的顺序号</li>
<li>window是接收缓存的窗口大小</li>
<li>urgent表明报文中是否有紧急指针</li>
<li>Options是选项</li>
</ul>
<h3 id="3-4-UDP包的输出信息"><a href="#3-4-UDP包的输出信息" class="headerlink" title="3.4 UDP包的输出信息"></a>3.4 UDP包的输出信息</h3><ul>
<li>输出信息</li>
</ul>
<p>route.port1 &gt; ICE.port2: udp lenth</p>
<h2 id="4-常用示例"><a href="#4-常用示例" class="headerlink" title="4. 常用示例"></a>4. 常用示例</h2><ol>
<li>查看当前机器有哪些网络接口</li>
</ol>
<blockquote>
<p><strong>tcpdump -D</strong></p>
</blockquote>
<figure class="highlight plaintext"><table><tr><td class="gutter"><pre><span class="line">1</span><br><span class="line">2</span><br><span class="line">3</span><br><span class="line">4</span><br><span class="line">5</span><br><span class="line">6</span><br><span class="line">7</span><br><span class="line">8</span><br></pre></td><td class="code"><pre><span class="line">[root@localhost yihen]# tcpdump -D</span><br><span class="line">1.nflog (Linux netfilter log (NFLOG) interface)</span><br><span class="line">2.nfqueue (Linux netfilter queue (NFQUEUE) interface)</span><br><span class="line">3.usbmon1 (USB bus number 1)</span><br><span class="line">4.usbmon2 (USB bus number 2)</span><br><span class="line">5.ens33</span><br><span class="line">6.any (Pseudo-device that captures on all interfaces)</span><br><span class="line">7.lo</span><br></pre></td></tr></table></figure>



<ol start="2">
<li>针对指定主机抓包</li>
</ol>
<blockquote>
<p><strong>tcpdump -i any -n -nn host 192.168.1.10 -w .&#x2F;$(date +%Y%m%d%H%M%S).pcap</strong></p>
</blockquote>
<ol start="3">
<li>针对指定端口抓包</li>
</ol>
<blockquote>
<p><strong>tcpdump -i any -n -nn port 80 -w .&#x2F;$(date +%Y%m%d%H%M%S).pcap</strong></p>
</blockquote>
<ol start="4">
<li>针对主机和端口抓包，两者关系 and</li>
</ol>
<blockquote>
<p><strong>tcpdump -i any -n -nn host 192.168.1.10 and port 80 -w .&#x2F;$(date +%Y%m%d%H%M%S).pcap</strong></p>
</blockquote>
<ol start="5">
<li>针对多个端口抓包</li>
</ol>
<blockquote>
<p><strong>tcpdump -i any -n -nn port 111 or port 443</strong></p>
</blockquote>
<ol start="6">
<li>针对多个主机抓包</li>
</ol>
<blockquote>
<p><strong>tcpdump -i any -n -nn host <a target="_blank" rel="noopener" href="http://www.baidu.com/">www.baidu.com</a> or <a target="_blank" rel="noopener" href="http://www.360.com/">www.360.com</a></strong></p>
</blockquote>
<h3 id="4-1-其他示例"><a href="#4-1-其他示例" class="headerlink" title="4.1 其他示例"></a>4.1 其他示例</h3><ol>
<li>抓取访问destination 443端口的包</li>
</ol>
<blockquote>
<p>tcpdump -i any -n dst port 443</p>
</blockquote>
<ol start="2">
<li>抓取源端口是80的包</li>
</ol>
<blockquote>
<p>tcpdump -i any -n src port 80</p>
</blockquote>
<ol start="3">
<li>抓取源或者目标端口都是80的包</li>
</ol>
<blockquote>
<p>tcpdump -i any -n port 80</p>
</blockquote>
<ol start="4">
<li>表示抓取destination prot 在100到455之间的端口的数据</li>
</ol>
<blockquote>
<p>tcpdump -i any -n -nn dst portrange 100-455</p>
</blockquote>
<ol start="5">
<li>Q抓取源的端口是20-80的包</li>
</ol>
<blockquote>
<p>tcpdump -i any -n -nn src portange 20-80</p>
</blockquote>
<ol start="6">
<li>抓取destination为<a target="_blank" rel="noopener" href="http://www.baidu.com的包/">www.baidu.com的包</a></li>
</ol>
<blockquote>
<p>tcpdump -i any -n -nn dst <a target="_blank" rel="noopener" href="http://www.baidu.com/">www.baidu.com</a></p>
</blockquote>
<ol start="7">
<li>抓取destination为192.168.1.[0-255]的包</li>
</ol>
<blockquote>
<p>tcpdump -i any -n -nn dst 192.168.1</p>
</blockquote>
<ol start="8">
<li>抓取包长度小于800的包</li>
</ol>
<blockquote>
<p>tcpdump -i any -n -nn less 800</p>
</blockquote>
<ol start="9">
<li>抓取包长度大于800的包</li>
</ol>
<blockquote>
<p>tcpdump -i any -n -nn greater 800</p>
</blockquote>
<ol start="10">
<li>只抓取tcp包</li>
</ol>
<blockquote>
<p> tcpdump -i any -n tcp</p>
</blockquote>
<ol start="11">
<li>只抓取udp包</li>
</ol>
<blockquote>
<p>tcpdump -i -any -n udp</p>
</blockquote>
<h3 id="4-2-举例"><a href="#4-2-举例" class="headerlink" title="4.2 举例"></a>4.2 举例</h3><p>(1) 想要截获所有210.27.48.1 的主机收到的和发出的所有的分组：<br>#tcpdump host 210.27.48.1 </p>
<p>(2) 想要截获主机210.27.48.1 和主机210.27.48.2或210.27.48.3的通信，使用命令（注意：括号前的反斜杠是必须的）：<br>#tcpdump host 210.27.48.1 and 210.27.48.2or210.27.48.3210.27.48.2or210.27.48.3</p>
<p>(3) 如果想要获取主机210.27.48.1除了和主机210.27.48.2之外所有主机通信的ip包，使用命令：<br>#tcpdump ip host 210.27.48.1 and ! 210.27.48.2</p>
<p>(4) 如果想要获取主机192.168.228.246接收或发出的ssh包，并且不转换主机名使用如下命令：<br>#tcpdump -nn -n src host 192.168.228.246 and port 22 and tcp</p>
<p>(5) 获取主机192.168.228.246接收或发出的ssh包，并把mac地址也一同显示：<br># tcpdump -e src host 192.168.228.246 and port 22 and tcp -n -nn</p>
<p>(6) 过滤的是源主机为192.168.0.1与目的网络为192.168.0.0的报头：<br>tcpdump src host 192.168.0.1 and dst net 192.168.0.0&#x2F;24 </p>
<p>(7) 过滤源主机物理地址为XXX的报头：<br>tcpdump ether src 00:50:04:BA:9B and dst……</p>
<p>（为什么ether src后面没有host或者net？物理地址当然不可能有网络喽）。<br>(8) 过滤源主机192.168.0.1和目的端口不是telnet的报头，并导入到tes.t.txt文件中：<br>Tcpdump src host 192.168.0.1 and dst port not telnet -l &gt; test.txt</p>

            <!--[if lt IE 9]><script>document.createElement('audio');</script><![endif]-->
            <audio id="audio" loop="1" preload="auto" controls="controls" data-autoplay="false">
                <source type="audio/mpeg" src="">
            </audio>
            
                <ul id="audio-list" style="display:none">
                    
                        
                            <li title="0" data-url="http://link.hhtjim.com/163/425570952.mp3"></li>
                        
                    
                        
                            <li title="1" data-url="http://link.hhtjim.com/163/425570952.mp3"></li>
                        
                    
                </ul>
            
        </div>
        
    <div id="gitalk-container" class="comment link"
		data-enable="false"
        data-ae="false"
        data-ci=""
        data-cs=""
        data-r=""
        data-o=""
        data-a=""
        data-d="false"
    >查看评论</div>


    </div>
    
</div>


    </div>
</div>
</body>


<script src="//lib.baomitu.com/jquery/1.8.3/jquery.min.js"></script>
<script src="/yi-mark-gitee-io/js/plugin.js"></script>
<script src="/yi-mark-gitee-io/js/typed.js"></script>
<script src="/yi-mark-gitee-io/js/diaspora.js"></script>


<link rel="stylesheet" href="/yi-mark-gitee-io/photoswipe/photoswipe.css">
<link rel="stylesheet" href="/yi-mark-gitee-io/photoswipe/default-skin/default-skin.css">


<script src="/yi-mark-gitee-io/photoswipe/photoswipe.min.js"></script>
<script src="/yi-mark-gitee-io/photoswipe/photoswipe-ui-default.min.js"></script>


<!-- Root element of PhotoSwipe. Must have class pswp. -->
<div class="pswp" tabindex="-1" role="dialog" aria-hidden="true">
    <!-- Background of PhotoSwipe. 
         It's a separate element as animating opacity is faster than rgba(). -->
    <div class="pswp__bg"></div>
    <!-- Slides wrapper with overflow:hidden. -->
    <div class="pswp__scroll-wrap">
        <!-- Container that holds slides. 
            PhotoSwipe keeps only 3 of them in the DOM to save memory.
            Don't modify these 3 pswp__item elements, data is added later on. -->
        <div class="pswp__container">
            <div class="pswp__item"></div>
            <div class="pswp__item"></div>
            <div class="pswp__item"></div>
        </div>
        <!-- Default (PhotoSwipeUI_Default) interface on top of sliding area. Can be changed. -->
        <div class="pswp__ui pswp__ui--hidden">
            <div class="pswp__top-bar">
                <!--  Controls are self-explanatory. Order can be changed. -->
                <div class="pswp__counter"></div>
                <button class="pswp__button pswp__button--close" title="Close (Esc)"></button>
                <button class="pswp__button pswp__button--share" title="Share"></button>
                <button class="pswp__button pswp__button--fs" title="Toggle fullscreen"></button>
                <button class="pswp__button pswp__button--zoom" title="Zoom in/out"></button>
                <!-- Preloader demo http://codepen.io/dimsemenov/pen/yyBWoR -->
                <!-- element will get class pswp__preloader--active when preloader is running -->
                <div class="pswp__preloader">
                    <div class="pswp__preloader__icn">
                      <div class="pswp__preloader__cut">
                        <div class="pswp__preloader__donut"></div>
                      </div>
                    </div>
                </div>
            </div>
            <div class="pswp__share-modal pswp__share-modal--hidden pswp__single-tap">
                <div class="pswp__share-tooltip"></div> 
            </div>
            <button class="pswp__button pswp__button--arrow--left" title="Previous (arrow left)">
            </button>
            <button class="pswp__button pswp__button--arrow--right" title="Next (arrow right)">
            </button>
            <div class="pswp__caption">
                <div class="pswp__caption__center"></div>
            </div>
        </div>
    </div>
</div>






</html>
